Datenschutzerklärung für Adobe Typekit Web Fonts

Warum sind Adobe Typekit Web Fonts datenschutzrechtlich bedenklich?

Um die benötigten Schriftarten von Adobe korrekt darstellen zu können, laden Webseiten die Fonts mit jedem Aufruf über einen US-amerikanischen Server von Adobe herunter. Adobe erhält dann automatisch Daten, unter anderem zu

• den bereitgestellten Schriftarten,
• der Konto-ID,
• der Anwendung, die die Schriftarten anfordert,
• dem Server, der die Schriftarten bereitstellt und
• dem Hostnamen der Webseite, auf der die Schriftarten geladen werden.

Ob Adobe in diesem Rahmen auch Zugriff auf die IP-Adresse und weitere personenbezogene Daten der Webseitenbesucher erhält, ist unklar. Adobe selbst gibt an, beim Laden der Schriften keine Cookies zu speichern und keine Daten wie IP-Adresse und Browser-Version zu erfassen. Die gesammelten Daten sollen lediglich dazu dienen, die Webseite und das damit verbundene Adobe-Font-Konto zu identifizieren.

Adobe Typekit Web Fonts rechtssicher verwenden

Um Adobe Typekit Web Fonts datenschutzkonform zu verwenden, haben Unternehmen zwei Optionen:

1) Adobe Typekit Web Fonts über Adobe einbinden

Für eine Einbindung der Adobe Fonts über den Adobe-Server in den USA müssen Seitenbetreiber diese Vorgaben beachten:

Einwilligung einholen?

Sollte Adobe bei der Verwendung der Schriftarten personenbezogene Daten wie die IP-Adresse der User erfassen, benötigen Webseitenbetreiber eine Einwilligung gemäß Artikel 7 Datenschutz-Grundverordnung (DSGVO). Diese Einwilligung in Form eines Opt-Ins müsste jedoch bereits vorliegen, bevor Adobe die personenbezogenen Daten erhebt – und damit bevor die Schriftarten dargestellt werden. Das ist in der Praxis jedoch nicht möglich.

Webseitenbetreiber könnten jedoch ein berechtigtes Interesse daran haben, die Daten von Usern zu verarbeiten, gemäß Art. 6 Abs. 1 lit. f) DSGVO. Das berechtigte Interesse könnte in den Vorteilen liegen, die die Verwendung von Adobe Fonts mitbringt. Dazu zählen zum Beispiel eine geräteübergreifende, einheitliche Darstellung, verbesserte Ladezeiten und ein kleinerer administrativer Aufwand. Ob das für ein berechtigtes Interesse der Webseitenbetreiber ausreicht, ist rechtlich jedoch zweifelhaft. Nach aktuellem Stand müssen Seitenbetreiber daher die Einwilligung von Usern einholen, um über Adobe Fonts personenbezogene Daten zu erheben.

Datenschutzerklärung anpassen

Webseitenbetreiber müssen in ihrer Datenschutzerklärung darüber informieren, dass sie Adobe Fonts verwenden. Dabei sollten sie festhalten,

• warum sie über Adobe Typekit Web Fonts personenbezogene Daten erheben,
• wie lange sie diese speichern,
• welche Rechtsgrundlage das erlaubt (Art. 6 Abs. 1 lit. a DSGVO) und
• dass Nutzer der Datenerhebung jederzeit widersprechen können.

Gleichzeitig sollten Seitenbetreiber Nutzer auf die entsprechenden Nutzungsbedingungen und Datenschutzbestimmungen von Adobe hinweisen. User können sich dann selbst ein Bild machen, was mit ihren Daten passiert, sobald diese Deutschland und die EU verlassen.

Standardvertragsklauseln prüfen

Wollen Seitenbetreiber personenbezogene Daten in ein Drittland außerhalb der EU versenden, benötigen sie dafür eine rechtliche Grundlage. Aktuell stellen die Standardvertragsklauseln der EU-Kommission diese Grundlage. Seitenbetreiber müssen diese daher mit Adobe abschließen. Haben sie die Klauseln bereits abgeschlossen, sollten sie kontrollieren, ob es sich dabei um die aktuellen Klauseln handelt. Die EU-Kommission hat kürzlich neue Standardvertragsklauseln herausgegeben, die Seitenbetreiber bis zum 27. Dezember 2022 abschließen müssen.

Zusätzlich müssen Seitenbetreiber eine Risikoabschätzung vornehmen. Diese soll feststellen, wie die Datenübermittlung in die USA abläuft und welche Maßnahmen Adobe zum Schutz der Daten ergreift.

2) Adobe Typekit Web Fonts lokal einbinden?

Auf verschiedenen Webseiten wird empfohlen, den Datentransfer in die USA an Adobe zu verhindern und so Adobe Typekit Web Fonts lokal auf dem eigenen, lokalen Server zu speichern. Aber Achtung! Die Adoble Typekit Web Fonts können durch ihre Lizenzierung nicht lokal auf dem Server eingebunden werden.

Sämtliche Schriften, die Seitenbereiber auf ihrem Server installieren wollen, bedürfen einer entsprechenden Schriftenlizenz. Dieser erhalten Sie entweder beim entsprechenden Schriftenhersteller oder bei einem lizenzierten Händler.

Rechtsprechung zu Adobe Typekit Web Fonts

Für Adobe Typekit Web Fonts ist sowohl die Rechtsprechung zur Erhebung von IP-Adressen als auch zu Google Web Fonts relevant:

Bundesgerichtshof zur Erhebung von IP-Adressen

Am 16.05.2017 kam der Bundesgerichtshof (BGH) zu dem Ergebnis: Dynamische IP-Adressen sind personenbezogene Daten, wenn Seitenbetreiber theoretisch die Person hinter der IP bestimmen können (Az. VI ZR 135/13).

Europäischer Gerichtshof zur Erhebung von IP-Adressen

Am 19.10.2016 kam der Europäische Gerichtshof (EuGH) zu dem Schluss: IPs sind personenbezogene Daten, wenn Strafverfolger die Person hinter der Adresse ermitteln können. Es reicht nicht aus, wenn Seitenbetreiber das rein theoretisch können (Az. C-582/14).

Landgericht Berlin zur Erhebung von IP-Adressen

Am 06.09.2007 entschied das Landgericht (LG) Berlin: Seitenbetreiber dürfen IP-Adressen nur verwenden, wenn sie dafür über eine User-Einwilligung verfügen (Az. 23 S 3/07).

Aktuelles zu Web Fonts

Das Landgericht München kam am 20.01.2022 zu dem Schluss: Unternehmen dürfen dynamische Webinhalte wie Google Web Fonts nicht ohne die Erlaubnis von Usern nutzen. Denn: Sie geben so personenbezogene Daten wie die IP-Adresse ungefragt an Dritte weiter und verletzen auf diese Weise das allgemeine Persönlichkeitsrecht in Form des informationellen Selbstbestimmungsrechts nach § 823 Abs. 1 BGB. Seitenbetreiber haben kein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO, die personenbezogenen Daten zu erheben. Sie können dynamische Webinhalte wie Web Fonts herunterladen und von ihrem eigenen Server aus einbinden. Das LG verhängte in diesem Rahmen ein Ordnungsgeld von 100 Euro gegen einen Seitenbetreiber, der über Google Web Fonts personenbezogene Daten ungefragt an Google übermittelt hatte. Sollte der Seitenbetreiber weiter personenbezogene Daten in die USA versenden, droht ihm ein Ordnungsgeld von bis zu 250.000 Euro (Az. 3 O 17493/20).